Биометрия сотрудников: правомерность СКУД и учёта рабочего времени по лицу

Компании массово ставят распознавание лиц на проходной: турникет открывается по лицу, а система сама фиксирует приход и уход. Удобно – не нужны карты и табельщик. Но лицо, которое камера превращает в цифровой шаблон для опознания человека, по закону – биометрические персональные данные. Для биометрии сотрудников 152-ФЗ вводит усиленный режим: СКУД по лицу и учёт рабочего времени по распознаванию лиц можно внедрять только с письменным согласием работника и с альтернативой для тех, кто отказался. Нарушение оборачивается штрафом по КоАП и предписанием Роскомнадзора прекратить обработку биометрии.

Ниже – порядок законного внедрения такой системы за 7 шагов: от фиксации цели до удаления данных уволенных.

Коротко. СКУД по лицу и учёт рабочего времени по распознаванию лиц – это обработка биометрических персональных данных. Она требует письменного согласия сотрудника (ст. 11 152-ФЗ) и равноценной альтернативы для отказавшихся (карта, пропуск, PIN); исключения возможны только в случаях, прямо установленных федеральным законом. Без согласия и альтернативы – штраф по ст. 13.11 КоАП РФ и риск предписания Роскомнадзора прекратить обработку биометрии.

Распознавание лица – это биометрия сотрудников? (биометрические ПДн, ст. 11 152-ФЗ)

Да, когда лицо обрабатывают техническими средствами, чтобы установить или подтвердить личность. Именно это делают система контроля и управления доступом (СКУД) и учёт рабочего времени: камера снимает лицо, алгоритм строит математический шаблон и сравнивает его с базой, чтобы понять, кто перед турникетом. Как только изображение используют для идентификации, оно попадает под ст. 11 152-ФЗ.

Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека и на основании которых можно установить его личность, если оператор использует их именно для установления личности субъекта (ст. 11 152-ФЗ).

Определяющий признак – цель обработки. Данные становятся биометрическими, когда оператор использует их для опознания конкретного человека; фото лица само по себе биометрией не является.

Обычное фото в личном деле или биометрический шаблон: в чём разница

Фотография в кадровом деле или на пропуске сама по себе биометрией не считается: её не сканируют алгоритмом для автоматического опознания. Как только то же лицо оцифровывают в вектор признаков и сравнивают с живым человеком на проходной – это уже биометрические персональные данные. Разница не в носителе (фото), а в способе и цели обработки. Довод «раз фото и так в личном деле, согласие на распознавание не нужно» с законом расходится: фото в личном деле не даёт права запускать распознавание.

СКУД и учёт рабочего времени (УРВ) по лицу – это биометрия сотрудников

Турникет или терминал, который узнаёт человека по лицу, обрабатывает биометрию. Неважно, как это названо внутри компании – «умный проход», «face-контроль», «система дисциплины». Если техника устанавливает личность по лицу, применяется усиленный режим 152-ФЗ: письменное согласие, отдельные документы, повышенные требования к защите. Биометрический СКУД без этого режима в типовом корпоративном сценарии незаконен с первого дня работы.

Что закон требует от работодателя

Биометрию сотрудников регулируют сразу несколько норм:

• 152-ФЗ – ст. 11 (обработка биометрии только по письменному согласию; ч. 3 – предоставление биометрии не может быть обязательным, а оператор не вправе отказать в обслуживании из-за отказа её сдать, когда получение согласия по закону не обязательно), ст. 9 (признаки действительного согласия), ст. 5 (обработка должна соответствовать заявленным целям), ст. 18.1 (обязанности оператора: политика, меры, документы).
• ТК РФ, глава 14 (ст. 86–90) – правила обработки и передачи персональных данных работника, запрет принуждения.
• 572-ФЗ – идентификация и аутентификация по биометрии, порядок работы с Единой биометрической системой.

Роскомнадзор в разъяснениях последовательно держит позицию: согласие работника на биометрию должно быть добровольным, а отказ от неё не может ухудшать положение сотрудника.

Письменное согласие сотрудника на биометрию

Ст. 11 152-ФЗ разрешает обрабатывать биометрию только при согласии субъекта в письменной форме. Исключения (оборона, безопасность, противодействие терроризму, правосудие, оперативно-розыскная деятельность и подобные) установлены законом и к обычному корпоративному СКУД не относятся – работодатель не может ссылаться на них, чтобы обойти согласие.

Само согласие должно отвечать признакам из ст. 9 152-ФЗ: быть конкретным, предметным, информированным, сознательным и однозначным. Закон также требует, чтобы человек давал его свободно, своей волей и в своём интересе. Конкретность – под чёткую цель (доступ и учёт времени), информированность – человек понимает, что и зачем собирают. Строчки «работник ознакомлен» в приказе недостаточно.

Может ли сотрудник отказаться от биометрии на проходной?

Да, отказаться можно, и работодатель обязан оставить равноценную альтернативу — карту, пропуск, PIN или отметку у охраны. Отказ не может быть основанием для дисциплинарного взыскания, недопуска к рабочему месту или иного давления. Если единственный способ попасть на работу — показать лицо камере, согласие не признаётся свободным, а обработка — законной.

Согласие считается свободным, только если у сотрудника есть реальный выбор: сдавать биометрию или нет (ч. 3 ст. 11 152-ФЗ – см. выше). Для тех, кто отказался, работодатель оставляет равноценный способ прохода и учёта времени – карту, пропуск, PIN, отметку у охраны.

Принуждать к сдаче биометрии нельзя. Отказ от биометрии на работе не может быть основанием для дисциплинарного взыскания, недопуска к рабочему месту или иного давления. Когда единственный способ попасть на работу – показать лицо камере, согласие, как правило, не признаётся свободным, а обработка – законной.

Нужно ли передавать биометрию сотрудников в ЕБС?

Зависит от режима работы системы. При аутентификации «на себя» (1:1, ст. 16 572-ФЗ) проверка строится через ЕБС или аккредитованную биометрическую систему. При идентификации (1:N) закон ограничивает обработку биометрии вне государственной ЕБС (ст. 15 572-ФЗ): может потребоваться размещение шаблонов в ЕБС или регистрация коммерческой биометрической системы.

Разберём разницу подробнее. Идентификация (1:N) – когда алгоритм сравнивает лицо со всей базой, чтобы понять, «кто это»; аутентификация (1:1) – когда система лишь подтверждает конкретного человека по его же шаблону («он ли это»). Для идентификации 572-ФЗ (ст. 15) ограничивает обработку биометрии вне государственной ЕБС, поэтому режим строже: в зависимости от условий это может означать размещение шаблонов в ЕБС, регистрацию коммерческой биометрической системы или работу по специальным условиям постановлений Правительства РФ. Аутентификация «на себя» (1:1, ст. 16 572-ФЗ) не делает схему полностью локальной: проверка строится через ЕБС или аккредитованную биометрическую систему. Работодателю не обязательно самому становиться оператором такой системы, но обойтись вовсе без неё для этого режима закон не позволяет. Точный порядок для конкретной компании определяется 572-ФЗ и постановлениями Правительства РФ и зависит от целей и способа обработки.

Подробный разбор 572-ФЗ, ЕБС и общих правил обработки биометрических персональных данных – на странице услуги «Обработка биометрических персональных данных». Для работодателя важен итог: наличие или отсутствие обязанности по ЕБС не отменяет письменного согласия и альтернативы – эти требования действуют во всех корпоративных сценариях, кроме случаев, прямо установленных федеральным законом.

Согласие сотрудника на биометрию: что должно быть в документе

Согласие на биометрию оформляют отдельным письменным документом; пункта в трудовом договоре недостаточно. Проверьте, что в нём есть все обязательные реквизиты:

• ФИО и адрес субъекта, реквизиты документа, удостоверяющего личность;
• наименование и адрес оператора (работодателя);
• цель обработки – контроль доступа и (или) учёт рабочего времени;
• перечень биометрических данных (изображение лица и его шаблон);
• перечень действий с данными и способы обработки;
• срок, на который даётся согласие, и порядок его отзыва;
• сведения о лице, обрабатывающем данные по поручению, если СКУД обслуживает подрядчик;
• подпись субъекта.

Какие документы нужны для биометрического СКУД: пакет ОРД

Минимальный пакет — девять документов: политика обработки ПДн, положение об обработке ПДн работников, положение о СКУД, форма согласия на биометрию, приказ о вводе системы, уведомление в Роскомнадзор, модель угроз, меры по приказу ФСТЭК № 21 и оценка вреда субъектам ПДн.

Организационно-распорядительные документы (ОРД) – доказательство того, что оператор обрабатывает биометрию по правилам. Минимальный комплект:

Читайте также: Дипфейк-мошенничество против компаний: CEO-fraud

Почему пакет под биометрию заказывают у «Кредо-С»

• Действующая лицензия ФСТЭК России № Л024-00107-00/00581724 на деятельность по технической защите конфиденциальной информации (ТЗКИ) – ООО «КРЕДО-С» (ИНН 7106014366, ОГРН 1027100747596) работает с ИСПДн и биометрией в правовом поле.
• Опыт аудита соответствия 152-ФЗ: собираем пакет ОРД, модель угроз, уведомление в РКН и меры защиты под конкретную СКУД.
• Стоимость аудита зависит от числа точек доступа, количества сотрудников и наличия действующих ОРД – оценим по вашей конфигурации.

Штрафы за нарушения при биометрическом СКУД

Ответственность за биометрию без согласия наступает по ст. 13.11 КоАП РФ. Составы за обработку без письменного согласия (ч. 2 и ч. 2.1) действуют в редакции 589-ФЗ (2023). Суммы ч. 1, составы за утечки (ч. 11–18) и оборотные штрафы обновлены 420-ФЗ и применяются с 30.05.2025. Подробный разбор составов и сумм – в статье «Штрафы за нарушение 152-ФЗ». Актуальные значения для юрлица:

Для должностных лиц и граждан суммы ниже: например, за обработку без письменного согласия должностное лицо платит 100 000 – 300 000 ₽, гражданин – 10 000 – 15 000 ₽. Есть и уголовный риск – ст. 272.1 УК РФ (2024, 421-ФЗ). Она карает оборот незаконно полученных биометрических данных: слив или покупку баз, «пробив». Отсутствие согласия на собственный СКУД под неё не подпадает – для типового работодателя нарушение остаётся административным (ст. 13.11 КоАП). Кроме штрафа Роскомнадзор вправе выдать предписание и потребовать прекратить обработку биометрии (ст. 23 152-ФЗ); оператор при этом обязан прекратить обработку и уничтожить неправомерно собранные биометрические данные (ст. 21 152-ФЗ). На практике до легализации системы это означает отключение распознавания лиц.

Как законно внедрить СКУД по лицу: 7 шагов

1. Зафиксируйте цель обработки. Пропишите, зачем собираете биометрию – контроль доступа, учёт рабочего времени. Цель определяет объём данных и меры (ст. 5 152-ФЗ).
2. Разработайте ОРД и формы согласий. Подготовьте политику, положения и форму письменного согласия на биометрию.
3. Соберите письменные согласия и обеспечьте альтернативу. Каждый сотрудник подписывает согласие; для отказавшихся оставьте карту, пропуск или PIN.
4. Определите уровень защищённости ИСПДн и внедрите меры. Постройте модель угроз, задайте уровень защищённости по ПП РФ № 1119 (для биометрии, как правило, УЗ-3 и выше; конкретный уровень зависит от модели угроз – при актуальных угрозах 2-го/1-го типов это УЗ-2/УЗ-1) и внедрите состав организационно-технических мер по Приказу ФСТЭК России № 21 (для ГИС – Приказ ФСТЭК № 117). Для государственных систем добавляется аттестация ИСПДн/ГИС; спроектировать защиту помогает аудит защиты данных.
5. Подайте или актуализируйте уведомление в РКН. Укажите обработку биометрических данных.
6. Оформите поручение подрядчику. Если СКУД обслуживает внешняя компания, заключите договор-поручение на обработку по ст. 6 152-ФЗ.
7. Организуйте контроль и удаление. Ведите учёт согласий, обрабатывайте отзывы и удаляйте биометрию уволенных, когда цель обработки достигнута.

Частые ошибки работодателей

• Биометрию собирают по устному согласию или «по умолчанию». Нарушение ст. 11 152-ФЗ – нужно письменное согласие.
• Нет альтернативы для отказавшихся. Согласие перестаёт быть свободным (ст. 9 152-ФЗ), обработка незаконна.
• Согласие «зашито» в трудовой договор. На биометрию нужен отдельный письменный документ.
• Не подано уведомление в Роскомнадзор. Состав по ч. 10 ст. 13.11 КоАП.
• Не удаляют биометрию уволенных. Нарушение принципа соответствия целям (ст. 5 152-ФЗ).
• Подрядчик СКУД обрабатывает данные без договора-поручения. Нарушение ст. 6 152-ФЗ.

Отраслевой срез: проходная завода, офис, распределённые площадки

• Промышленный объект. Если биометрический СКУД стоит на периметре, связанном с промышленной автоматикой и критичными объектами, к системе применяются повышенные требования по защите – её нельзя проектировать в отрыве от общего контура безопасности предприятия.
• Офис. Типичный риск здесь – «тихий» сбор: терминал поставили, согласий не взяли, альтернативу не сделали. Для офиса важнее всего чистый пакет согласий и реальная альтернатива.
• Распределённые площадки. Когда точек доступа много, нужны единая политика и единые формы согласий по всем филиалам, иначе на каждой площадке всплывают свои нарушения.
• Интеграция с 1С и учётом рабочего времени. При выгрузке событий прохода в кадровый и табельный учёт минимизируйте данные и разграничьте доступ к биометрии – её видит только тот, кому она нужна по работе.